중소 금융회사의 경우 CIO와 CISO 겸직 가능토록 CISO 자격요건 완화

(건의배경) 현행 전자금융거래법에 따르면 정보기술부문 보안을 총괄하여 책임질 정보보호최고책임자(CISO)를 총자산, 종업원 수 등을 감안하여 임원*으로 지정하고, CISO가 수행해야 하는 업무외의 다른 정보기술부문 업무를 겸직**하지 못하도록 규정되어 있으나, * 총자산 2조원 이상이고, 상시 종업원 수가 300명 이상 ** 총자산 10조원 이상이고, 상시 종업원 수가 1,000명 이상

중소규모 금융회사의 경우 CISO를 임원이 아닌자로 지정이 가능하고, CISO는 CISO의 수행업무외의 다른 정보기술 부문 업무(CIO업무)의 겸직이 가능

이에 따라 NH농협캐피탈*은 CISO 비임원급 선정 및 CISO의 CIO 겸직도 가능한 상황이지만 현재 CIO를 임원급으로 운영하고 있는 바, 현 CIO(임원급)는 관련법규에서 정하는 CISO 자격요건에 미달하여 부득이하게 전산팀장을 CISO로 별도 지정 * 총자산 2조 3800억원, 상시 종업원 수 230명(‘15.7월말 기준) (참고) 현재 NH농협캐피탈은 정보기술부문의 조직(전산팀)이 경영관리조직에 소속되어 경영관리조직의 장이 CIO(임원급)를 맡고 있으며, 별도로 전담 정보기술부문의 상위조직으로 구성(실 또는 본부 단위)되어 있지 않음

따라서 임원급 CIO와 팀장급 CISO가 존재하는 불균형적인 조직구조로 운영되고 있으며, 전자금융감독규정 제8조의2에 따른 정보보호위원회 운영*에 있어 CISO 역할과 책임을 수행하는데 상당한 애로가 발생 * 제8조의2(정보보호위원회 운영)

(건의사항) 중소규모 금융회사의 경우 CISO 자격요건을 완화하여 CIO와 CISO의 실질적 겸직이 가능하도록 할 필요

중소규모 금융회사에서는 현실적으로 정보기술부문업무(CIO업무)의 상당부분이 정보보호업무(CISO업무)를 차지하고 있어서 CIO와 CISO의 업무역할 분리의 실익이 미미할 뿐만 아니라 운영상 비효율적 ※ (관련법령 또는 지도) 전자금융거래법 제21조의 2(정보보호최고책임자 지정), 전자금융거래법 시행령 제 11조의 3(정보보호 최고책임자 지정대상 금융회사 등), 전자금융감독규정 제8조의2(정보보호위원회 운영)

현행 전자금융거래법령이 정보보호최고책임자(CISO)의 자격요건을 규정하고 금융회사는 CISO를 반드시 선임토록 한 것은 전문적 지식과 경험을 갖춘 인사가 금융회사의 IT보안 등 관련 업무를 총괄토록 하여 금융회사의 보안 책임성을 강화하기 위함입니다.

따라서, 단순히 개별 기업의 조직구조상 자격요건을 충족하지 못하는 CIO가 CISO의 겸직을 하지 못한다고 하여 CISO의 자격요건을 완화하여 달라는 주장은 수용하기 곤란합니다.

전자금융거래법령은 소규모 회사의 경우에는 CISO를 임원으로 선임하지 않아도 되며, CISO가 CIO 등의 업무를 겸직할 수 있게 할 수 있도록 하고 있으나,

이는 소규모 회사의 조직 경제상 한계 등을 고려하여 CISO 제도 운영의 탄력성을 부여한 것으로, 겸직과 자격요건은 별개문제이므로 CIO가 CISO를 겸직하더라도 그 자격요건은 준수해야 합니다.